Translate

23 abril 2015

Curso de Cibersegurança - Maturidade na gestão do risco cibernético

A MPSafe apresenta seu novo curso de Cibersegurança de vinte horas do Professor Dr. Paulo Pagliusi, PhD. in Information Security, CISM. Programa em PDF.  Você ainda não viuseguranca@mpsafe.com.br
Carga Horária
Vinte (20) horas/aula.

Modalidade e Regime Escolar
Presencial In-Company. Cinco aulas, com sessões de 3 horas/aula diárias e intervalo de 20 minutos, às terças e quintas-feiras, das 18h40min às 22h00min. Há uma aula final diurna, com sessão de 5 horas/aula e intervalo de 20 minutos, em um sábado, das 08h40min às 14h00min.

Público alvo
Formado por até 20 (vinte) alunos, com perfil de membros de Conselhos, executivos C-Level, Gerentes, Chefes de Departamento, Gerentes de Projeto, Supervisores e Técnicos, das áreas de Auditoria, Negócios, Finanças, Marketing, Jurídica, TI, Administração, Recursos Humanos e Segurança Corporativa, além de profissionais gestores e técnicos de qualquer área, com necessidade profissional ou interesse em conhecer cibersegurança. O curso pode ser ajustado para campanhas internas de conscientização em Segurança da Informação.

Ementa
Fundamentos de Segurança da Informação (SI) e Cibersegurança. Conhecimento básico de gestão de riscos e vulnerabilidades. Crescente ameaça de fraudes e ataques cibernéticos ao ambiente operacional. Cenário de Espionagem Globalizada e Guerra Fria Cibernética. Implicações futuras e novos riscos trazidos pela evolução da Tecnologia na Era da Computação Social. Categorias de ataques cibernéticos. Engenharia Social e coleta não autorizada. Como evitar ser hackeado. Estar compliance é estar seguro? Necessidade de inovação na postura de Cibersegurança. Cinco Sensos (5S) da Qualidade no Estilo Japonês, aplicados à SI. Medidas práticas para proteção, continuidade e resiliência do Ciclo de Vida da Informação.

Objetivo
Aprimorar conhecimento e conscientização do Aluno, sobre a relevância da segurança da informação e da maturidade na gestão do risco cibernético, sob o escopo global da cibersegurança corporativa, a fim de se obter sucesso na gestão do risco do negócio.

Conteúdo Programático
·                         Apresentações iniciais e fundamentos de Cibersegurança.
o    Nossa “mascote” DICA e sua previsão do tempo.
o    Introdução à Segurança Cibernética – Objetivos e Papéis.
o    Diferenças entre Segurança da Informação (SI) & Segurança Cibernética.
o    Princípios de Segurança Cibernética (DICA):
§  Disponibilidade.
§  Confidencialidade.
§  Integridade.
§  Autenticação e Não repúdio.
o    A SI no cenário da gestão do ciclo de vida da informação.
o    Processos e ferramentas de arquitetura de segurança.
o    Categorias de Incidentes cibernéticos. Resposta e recuperação.
o    Conceituando forense computacional.
·                     Conhecimento básico de gestão de riscos e vulnerabilidades.
·               Crescente ameaça de fraudes e ataques cibernéticos ao ambiente operacional.
·                     Cenário de Espionagem Globalizada e Guerra Fria Cibernética.
o    Quem é a NSA e quem são os Five Eyes (FYES)?
o    Tipos de Interceptação, Back Doors em empresas de Internet.
o    Quebra de Criptografia – repercussões no Brasil.
·                         Implicações futuras e novos riscos trazidos pela evolução da Tecnologia:
o    Tecnologia nova e emergente da TI & SI.
o    Os quatro Pilares da 5ª Era da TI – Era da Computação Social.
·                     Desafios à proteção da Segurança da Informação (SI) dos quatro pilares:
o    Computação em nuvem – noções envolvendo dados e colaboração.
o    Mobilidade – Segurança móvel: riscos e vulnerabilidades.
o    Big data – implicações à privacidade.
o    Redes sociais – riscos e perigos existentes.
·                     Vulnerabilidade dos usuários não conscientizados.
·                     Desafios associados à Web Oculta (Deep Web).
·                     Riscos da Internet das Coisas.
·                     Desafio trazido pelos Malwares.
·                     Categorias de ataques cibernéticos.
o    Hacking e sua Linha do Tempo evolutiva.
o    Como reconhecer e evitar Ataques Persistentes Avançados (APA).
o    Phishing e Spear Phishing.
·                     Engenharia Social e coleta não autorizada.
·                     Sete maneiras fáceis para evitar ser hackeado.
o    Desconfie de e-mails. Verifique os locais dos links. Nunca abra anexos (exceto se tiver certeza da origem). Use autenticação de dois fatores.
o    Utilize senhas poderosas. Tenha cuidado com a nuvem.
o    Em Wi-Fi pública, não compartilhe dados pessoais.
·                Estar compliance é estar seguro? Inovação na postura de Cibersegurança.
o    Necessidade de Mudança Radical no Modelo Aceito de Segurança.
o    Hoje não estamos ganhando a luta cibernética... Mas podemos virar o Jogo. Integrando o Risco Cibernético aos Riscos do Negócio.
o    Gráfico: grau de Maturidade na Gestão de Risco Cibernético.
·                 Cinco Sensos (5S) da Qualidade no Estilo Japonês, aplicados à SI:
o    Utilização – Seiri, Organização – Seiton, Limpeza – Seisou, Saúde (melhoria contínua) – Seiketsu e Autodisciplina – Shitsuke.
§  Política de mesa limpa.
§  Cuidados no descarte de informações classificadas.
§  Documentos sigilosos em salas de reunião, copiadoras e impressoras. Uso de termos de responsabilidade.
§  Construção de senhas fortes e fáceis de memorizar.
§  Ações contra Engenharia Social, Malwares e coleta não autorizada.
§  Organização de arquivos sigilosos (tanto físicos, quanto digitais).
§  Ações contra o uso de Pendrives e e-mails de forma displicente.
§  Cuidados com os Dispositivos Móveis dos colaboradores.
·            Medidas práticas para garantir proteção, continuidade e resiliência do Ciclo de Vida da Informação corporativa:
o    No Planejamento e Produção.
o    No Acesso e Utilização.
o    No Envio e Recebimento.
o    No Armazenamento e Recuperação.
o    Na Eliminação.
o    Em Emergência e Continuidade.
·         Legislações e Referências Normativas. Sugestão de Leitura e Estudo Futuro.
·         Exercício, Dinâmica de Grupo e Avaliação:
o    Política de Mesa Limpa – Jogo dos 20 Erros.
o    Dinâmica de Grupo. Trabalho final individual.

Metodologia

Apresentações de Slides, Vídeos, Filmes e páginas na Internet. Estudo dirigido. Pesquisa. Discussões em grupo. Estudo de problemas. Trabalhos Individuais.



Avaliação
A avaliação é realizada por nota de 0 a 10 (zero a dez), envolvendo: participação em sala de aula (Valor: 2 pontos); entrega e apresentação de trabalho (2000 palavras – Valor 8 pontos). O trabalho expõe exemplo de serviço voltado para segurança da informação da entidade a que o aluno pertence, em que seriam destacadas duas medidas de segurança adotadas, com os respectivos riscos minimizados. O aluno deve incluir as dificuldades encontradas no processo de implementação das medidas, bem como relatar iniciativas para superá-las, adotadas com base no conhecimento adquirido no curso. Receberá certificado de conclusão do curso o aluno que obtiver avaliação igual ou superior a 7 (sete).

Bibliografia (Básica e Complementar)
  • Andress, Jason.  The Basics of Information Security – Understanding the Fundamentals of InfoSec in Theory and Practice.  Elsevier, 2011.
  • Campbel, D. Inside ECHELON. The history, structure and function of the global surveillance system known as Echelon. Eridu, 2000. Clique


  • Cockram, Dominic and Van Den Heuvel, Claudia. Organisational Resilience.  BCI Membership Subgroup, 2012. Clique
  • Hinson, Gary. Business case for an Information Security Awareness Program. IsecT, 2010.Clique
  • NIST – National Institute of Standards and Technology. Framework for Improving Critical Infrastructure Cybersecurity. Version 1.0. EUA, 12Fev2014. Clique
  • Pagliusi, P.S. Livro:  Internet Authentication for Remote Access - Authentication Solutions for Internet Remote Access Networks Aiming Ubiquitous Mobility. Scholar's Press, Saarbrücken, Alemanha, Jul2013. Clique
  • Pagliusi, P.S. 7 Maneiras Fáceis para Evitar ser Hackeado, em 14Abr2015, no blog MPSafe. Clique
  • Pagliusi, P.S. A Internet Profunda – Segredos, Riscos e Ameaças, em 26Fev2015, no portal CryptoID. Clique e Blog MPSafe. Clique
  • Pagliusi, P.S. A Máscara – Brasil entre Maiores Alvos, Jul2014, pg. 22 e 23, Revista do Clube Naval nº 371. Clique Blog MPSafe. Clique Revista Linux Magazine nº 110. Clique
  • Pagliusi, P.S. Segurança de Dispositivos Móveis – Como proteger Smartphones & Tablets, em Set2014 pela Revista Linux Magazine nº 114, da Linux New Media do Brasil. Clique  e pelo Blog MPSafe. Clique
  • Pagliusi, P.S. O cibercrime joga no ataque, em Ago2014, Revista Linux Magazine nº 113, da Linux New Media. Clique e PDF
  • Pagliusi, P.S. Ciberespionagem e inovação em cibersegurança, em Jul2014 pela Revista Linux Magazine nº 112, da Linux New Media do Brasil. Clique e no Blog MPSafe. Clique
  • Pagliusi, P.S. A Era da Computação Quântica, em 13Fev2014 no blog MPSafe. Clique e no blog Segurança da Informação. Clique
  • Pagliusi, P.S. Criptografia pode servir de mapa da mina, matéria de capa do jornal “O Globo”, Rio de Janeiro, de 09Set2013. Página 3 do jornal impresso, e link do Portal G1. Clique 
  • Pagliusi, P.S. Nuvem como Arma Secreta? Agentes Silenciosos da Guerra, no blog MPSafe, em 24Mar2013. Clique
  • Pagliusi, P.S. Novos desafios de segurança da nuvem e do BYOD, na Revista CIO - Estratégias de negócios e TI para líderes corporativos - seção Opinião, de 12Dez2012. Clique
  • Pagliusi, P.S. O Anonymous e Os Pássaros, de Hitchcock, no Jornal “O Globo”, Rio de Janeiro, de 09Abr2012, blog e coluna do repórter especialista em TI André Machado. Clique
  • Pagliusi, P.S. Reduzir custos sem abrir mão da proteção. Decision Report, 12Mar2012. Clique
  • Pagliusi, P.S. Quem está compliance também está seguro? Jornal Brasil Econômico, versão impressa e em mídia, 27 a 29Jan2012. Clique
  • Pagliusi, P.S. Fraudes financeiras & Segurança da Informação. Information Week, 02Nov2011. Clique
  • Pagliusi, P.S. Correio Eletrônico na Nuvem - Migração, Riscos e Recomendações de Proteção. Portal Segurança da Informação – Blog SegInfo, 21Mar2012. Clique e blog MPSafe. Clique
  • Pagliusi, P.S. A segurança da geração que voa na Nuvem. Portal Decision Report, 10Jul2011. Clique e blog MPSafe. Clique
  • Pagliusi, P.S. Conversa na Nuvem sobre SIEM e BYOD. Podcast de 17/04/2013, blog SegInfo. Clique
  • Pagliusi, P.S. PSSPodcast #6 - Segurança em Cloud Computing. Podcast de 08/06/2011, Information Week Brasil. Info | SegInfocast. Clique
  • Ross, Steven and Masters, Risk.  Creating a Culture of Security.  ISACA, 2011.
  • Salomon, David.  Elements of Computer Security.  Springer, 2010.
  • Senado Federal. Audiência pública do Dr. Paulo Pagliusi, outros especialistas em SI e diversas autoridades à CPI da Espionagem - destinada a investigar a denúncia de existência de um sistema de espionagem estruturado pelo governo dos Estados Unidos. Brasília – DF, em 22Out2013. [Senado] Clique [EBC] Clique [Relatório Final da CPI] PDF
  • Sommer, Peter and Brown Ian.  Reducing Systemic Cybersecurity Risk. OECD/IFP “Project on Future Global Shocks”, 2011. Clique
  • Suter, Manuel. A Generic National Framework for Critical Information Infrastructure Protection. Center of Security Studies, ETH Zurich. Clique
  • Whitcher, Robert.  BS25999 – White PaperBCI Seminar, 2009. Clique
Plano de Aula

AULA
DATA
ATIVIDADES
01
3ª-Feira
(3 horas)
Apresentações iniciais e fundamentos de Cibersegurança.
Conhecimento básico de gestão de riscos e vulnerabilidades.
02
5ª-Feira
(3 horas)
Crescente ameaça de fraudes e ataques cibernéticos ao ambiente operacional.
Cenário de Espionagem Globalizada e Guerra Fria Cibernética.
Implicações futuras e novos riscos trazidos pela evolução da Tecnologia.
03
3ª-Feira
(3 horas)
Desafios à proteção da Segurança da Informação (SI) dos quatro pilares (Nuvem, Mobilidade, Big data, Redes sociais).
Vulnerabilidade dos usuários não conscientizados.
Desafios associados à Web Oculta (Deep Web).
Riscos da Internet das Coisas.
Desafio trazido pelos Malwares.
04
5ª-Feira
(3 horas)
Categorias de ataques cibernéticos.
Engenharia Social e coleta não autorizada.
Sete maneiras fáceis para evitar ser hackeado.
Estar compliance é estar seguro?
(Necessidade de) Inovação na postura de Cibersegurança.
05
3ª-Feira
(3 horas)
Cinco Sensos (5S) da Qualidade no Estilo Japonês, aplicados à SI.
Medidas práticas para garantir proteção, continuidade e resiliência do Ciclo de Vida da Informação corporativa.
Exercício (Política de Mesa Limpa – Jogo dos 20 Erros).
Legislações e Referências Normativas.
Sugestão de Leitura e Estudo Futuro.
06
Sábado
(5 horas)
Entrega e Apresentação dos Trabalhos Individuais.
Dinâmica de Grupo e Avaliação.
Dinâmica do Curso
Data de início – Em uma terça-feira, a ser definida.
Local – Instalação (auditório, sala de aula ou reunião) provida pela corporação Cliente.
Infraestrutura – Solicitamos à corporação Cliente providenciar: suporte computacional para slides (PowerPoint), equipamentos de áudio (microfones, alto-falantes), projetor, recursos de mídia digital para passar vídeos (imagem e som) e acesso à Internet.

Valor e Condições do Investimento
O valor do curso é R$ 2.500,00 (dois mil e quinhentos reais) por aluno, em turma composta por, no mínimo 6 (seis) e, no máximo, 20 (vinte) alunos. O valor é pago em duas parcelas, como a seguir. Estão inclusos no investimento: autorização de uso de nome e imagem do Professor, h/h referente à preparação, despesas de viagem, hospedagem, alimentação, e deslocamentos. Não estão inclusos direitos autorais nem exclusividade.

Forma de pagamento
O pagamento da primeira parcela ocorrerá em até 10 (dez) dias corridos antes da atividade prevista e o da segunda parcela, ao término do serviço prestado e em até 10 (dez) dias corridos após a atividade, mediante recebimento de nota fiscal com o valor da parcela, por parte do cliente.

Parcela
Período de:
Valor (R$)
Atividade
 
20%)
Em até 10 (dez) dias corridos antes da atividade
   500,00 por Aluno
Sinal e Preparativos
(80%)
Em até 10 (dez) dias corridos após a atividade
2.000,00 por Aluno
Realização do Curso
Total:
R$ 2.500,00 por Aluno

Mini curriculum do Professor Dr. Paulo Pagliusi
         Consultor PhD. in Information Security, pela Royal Holloway, University of London, Mestre em Ciência da Computação pela UNICAMP, Pós-Graduado em Análises de Sistemas, pela PUC – RJ e certificado CISM (Certified Information Security Manager).  O Dr. Paulo Pagliusi é autor de livro e conferencista conhecido com mais de 20 anos de atuação em SI, CEO e Sócio-Diretor da MPSafe CyberSecurity & CounterEspionage, Vice-Presidente da CSABR (Cloud Security Alliance Brasil) e Vice-Presidente da ISACA (Information Systems Audit and Control Association), Rio de Janeiro. Reconhecido pelo Governo Federal com especialista em contraespionagem, fez parte da audiência pública da CPI (Comissão Parlamentar de Inquérito) da Espionagem do Senado Federal sobre Segurança Cibernética. É também um dos mentores do movimento denominado “Cyber Manifesto”, que tem o objetivo de estimular o apoio e a criação de uma visão compartilhada para proteger o Brasil de ataques cibernéticos.
E-mail: seguranca@mpsafe.com.br
Programa do Curso: em PDF 
Você ainda não viu?

14 abril 2015

7 Maneiras Fáceis para Evitar ser Hackeado

Tecnicamente, tudo o que se conecta à Internet pode ser hackeado. Mas há várias coisas que você pode fazer para proteger a si e a seus dados de um ciberataque.
Aqui estão algumas dicas que irão mitigar o risco de ter seus dados pessoais roubados.

1. Desconfie de e-mails

Uma enorme quantia de ataques cibernéticos é lançada por meio de simples campanhas de e-mail maliciosos. E-mail é uma maravilhosa plataforma de comunicação, pois você pode enviar qualquer coisa a qualquer um, mas isso significa que também pode ser um enorme risco de segurança. Phishing, por exemplo, envia e-mails aparentemente inócuos que irão levar as vítimas a visitarem sites falsos, pedindo para atualizar suas informações pessoais.
A melhor maneira de evitar ser enganado por e-mails falsos é apenas se certificar de que o remetente é quem você pensa que é. Verifique o endereço do e-mail para ver se ele combina com o site de onde você pensa que ele se origina. Para ser mais cauteloso, você pode verificar o endereço IP do remetente.
Você pode fazer isso procurando as informações de origem do e-mail e localizando o endereço IP, que se segue à linha "Recebido: de". Você, então, pode procurar no Google o endereço IP para identificar a origem do e-mail. Aqui está uma boa cartilha para se encontrar endereços IP em e-mails.

2. Verifique os locais dos links

Mensagens de desconhecidos costumam conter links para sites desconhecidos. Navegar em um site misterioso pode trazer consequências indesejadas. Por um lado, ele pode imitar um site que você conhece e confia, o que o ajuda a se tornar vítima de uma tentativa de phishing. Por outro lado, ele pode ser um site inseguro, infectado com software malicioso.
Se você está tentado a clicar em um desses links, é melhor você saber exatamente para onde ele o está levando. A melhor maneira é copiar e colar o link no local um novo navegador, para ver que site está do outro lado do link. Se for um link encurtado, você pode usar ferramentas como o URL X-ray, a fim de descobrir o verdadeiro destino de um link antes de você clicar nele.
Além disso, os sites criptografados são normalmente os mais seguros para se visitar. Você sabe que eles são seguros quando você vê HTTPS na URL e o ícone de um cadeado verde e fechado no seu navegador.

3. Nunca abra anexos (a menos que você tenha certeza da origem)

Uma boa regra a seguir é nunca abrir anexos, a menos que você esteja com 120% de certeza de onde eles vieram. Uma das maneiras mais fáceis para os hackers baixarem códigos maliciosos nos computadores das vítimas é através do envio de e-mails com arquivos contendo vírus ou trojans.
Uma forma frequente das empresas serem hackeadas é por meio de um funcionário desavisado que baixa (faz download de) software malicioso que se infiltra em toda a rede corporativa. Os tipos de arquivos mais perigosos são Word, PDFs e com extensão executável, como os .EXEs.

4. Use a autenticação de dois fatores

Com as maiores empresas sendo hackeadas, a probabilidade de que sua senha seja vazada aumenta. Uma vez que os hackers tenham obtido senhas, eles tentam descobrir que contas pessoais na Internet eles podem acessar com os dados que roubaram.
A autenticação de dois fatores - que exige que os usuários não só digitem uma senha, mas também confirmem entrando com outro item, como um código transmitido por mensagem (SMS) a um telefone - é uma boa maneira de se parar os atacantes que roubam suas senhas. Mais empresas estão tornando-se padrão para iniciar a sessão.
Uma plataforma para comunicação de equipes, chamada Slack, por exemplo, instituiu a autenticação em duas etapas, uma vez que sofreu uma recente violação de dados. Isso significa que, se os hackers roubarem dados de algum usuário da plataforma Slack, ainda assim muito provavelmente não serão capazes de entrar em uma conta de usuário, a menos que eles tenham acesso a outro item pessoal que pertença ao usuário, como um telefone. Se a autenticação de dois fatores for uma opção disponível para proteger suas contas na Internet, é sábio escolhê-la.

5. Utilize senhas poderosas

Esta pode ser a dica mais óbvia, mas ainda assim é negligenciada. Uma senha forte inclui letras maiúsculas, minúsculas, números, pontuação e linguagem sem nexo. Não faça na senha nenhuma referência pessoal, e não armazene uma lista de senhas salvas em um arquivo.
Mais importante ainda, não use a mesma senha para várias contas.
Há algumas grandes ferramentas, como o LastPass e 1Password, que armazenam senhas de forma segura. Além disso, é crucial alterar suas senhas com frequência - especialmente as de contas vulneráveis, como as de e-mail e bancárias.

6. Tenha cuidado com a nuvem

Aqui está uma boa regra de ouro - se você não quer que as pessoas acessem sua informação, não a compartilhe. Isso inclui o armazenamento em nuvem. Não importa o quão segura uma plataforma diz que é, você deve ter em mente que você está dando sua informação a alguém para cuidar. Embora esteja no melhor dos interesses da empresa que a recebe mantê-la segura, muitos especialistas em privacidade sustentam que, para qualquer coisa que você colocar on-line, existe a chance dela ser publicada online.
Isto significa que você não deva armazenar qualquer coisa na nuvem? Não necessariamente, mesmo porque tudo está caminhando para a nuvem. Até a década de 2020, o termo computação em nuvem pode ficar redundante, pois tudo deverá estar mesmo na nuvem. É apenas útil manter-se a par de onde os arquivos sensíveis estão indo. E é muito importante conhecer as práticas de seu provedor de armazenamento em nuvem. Por exemplo, se ele segue as boas práticas recomendadas pela Cloud Security Alliance - CSA.
Além disso, certifique-se de que, se você excluir arquivos em seu computador ou smartphone, eles também sejam excluídos em todos os backups que você tenha feito na nuvem.

7. Em Wi-Fi pública? Não compartilhe dados pessoais

Pensando em comprar o bilhete de avião ou verificar sua conta bancária ao sentar-se em uma cafeteria? Você pode querer pensar duas vezes sobre isto, se não tiver ideia do quanto essa conexão é segura.
mesmo vale para locais como hotéis e centros de conferência. Pesquisadores de segurança recentemente descobriram uma vulnerabilidade que torna o tráfego Wi-Fi em alguns dos maiores hotéis do mundo vulnerável a ataques. Não há nenhuma maneira de um indivíduo saber se isto está acontecendo, por isso é melhor ser bastante criterioso com o local de onde você está navegando.
Se você precisa mesmo acessar informações privadas enquanto estiver navegando nestas redes, seria bom usar ferramentas como redes privadas virtuais (VPNs), que criptografam o tráfego para que a rede Wi-Fi não possa enxergar onde você está navegando. Ou, ainda melhor, basta configurar um hotspot usando seu smartphone com rede de dados móveis.


Por: Paulo Pagliusi, Ph.D., CISM
CEO da MPSafe CyberSecurity & CounterEspionage
Vice-Presidente da ISACA Rio e da Cloud Security Alliance - CSA Brasil